令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業【はじめに】

今年度のシステム・セキュリティ
管理者向け研修について

1

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

今年度の研修の構成
開催回

カテゴリ

概要

講師

第１回

オリエン

IT環境における組織の管理

萩原健太

第２回

ID管理やアクセス制御→ITガバナンスの理解と組織管理

第３回

脅威や脆弱性→アクセス制御とセキュリティ対策

基礎

第４回

効果的なセキュリティの実現

第５回

Windows標準機能の活用

第６回
第７回

実践

インターバルリンク（株）、(一社)ソフトウェア協会

村澤 直毅
後藤 昌宏
日本マイクロソフト(株)板東 直樹

脆弱な機器の守り方

アップデートテクノロジー(株)、(一社)ソフトウェア協会

インシデントに備える体制※内容は変更する場合がございます。

2

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

【第２回】システム・セキュリティ管理者向け研修

ITガバナンスの理解と組織管理
日本マイクロソフト株式会社
村澤 直毅

3令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

本セッションのスピーカー
村澤 直毅（むらさわ なおき）

氏名
所経属

日本マイクロソフト株式会社
医療・製薬営業本部

歴

公共・金融・製造など様々な業界での経験を活かし、現在は医療機関・製薬企業のお客様の働き方改革、DXの推進を支援しております。

専門的な知識や知見（保有資格）

ヘルスケア統括本部

Microsoft 365を中心とするクラウドサービス(MCP: Azure, Microsoft 365, Teams, Dynamics
365など)

参考：執筆したBlog
医療変革への第一歩。持続可能な医療を実現するために必携の冊子『変化に即応できる持続可能な病院経営へ』のススメ - マイクロソフト業界別の記事 (microsoft.com)

医療業界におけるジェネレーティブ AI の可能性について - マイクロソフト業界別の記事 (microsoft.com)

4本講座の目的
本講座では、組織管理のために一般的な管理の基本的な考え方について理解していただき、システム管理責任者もしくはセキュリティ責任者として、ITベンダーと十分なコミュニ
ケーションができる知識とスキルを身につけていただきます。
ITベンダーと協力しながら、現場でのさまざまな課題を解決することで、円滑なIT運用を行うことを目的としています。

5

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

参照すべき資料
厚生労働省
医療情報システムの安全管理に関するガイドライン

医療機関におけるサイバーセキュリティ対策チェックリスト
医療機関におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・事業者向け～

経済産業省
医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン

つるぎ町立半田病院
コンピュータウイルス感染事案有識者会議調査報告書

大阪急性期・総合医療センター
情報セキュリティインシデント調査委員会報告書

6

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

第2回のアジェンダ
ITガバナンスのための仕組み
ITガバナンスとはなにか
ITガバナンス実現に向けて一般的なIT管理の在り方
ドメイン
ID管理
ディレクトリサービス
資産管理と構成管理

さいごに

7

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業各章の構成と学習の進め方
日常的な課題

課題を解決するための知識

課題の解決例

インシデント
報告書

日常的な課題をベースして、まずはみなさんの現在の知識について確認をします。その後、関連する基礎知識について理解していただきます。最後は医療機関で実際に発生した事例をもとに、対策が実践されているかどうかを確認します。

8

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

1. ITガバナンスのための仕組み

9

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

課題 〉 病院でも発生しているランサムウェア攻撃被害？

つるぎ町立半田病院や大阪急性期・総合医療センターなど、ランサムウェアによって電子カルテシステムが機能不全に陥る事態になりました。
なぜ最近は医療機関でも被害が成功してしまっているのでしょうか？

10

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ランサムウェア攻撃の特徴
ランサムウェア攻撃は無差別に行われている【ランサムウェアとは】攻撃が成功しやすい組織の特徴
端末やデータなどを人質として、ランサムノート（身代金要求文• 導入されているITソリューションが複数ベンダーによって管理されている• ソリューションごとに異なるID管理やデータ管理が行われている書）を表示させ、身代金を要求してくるマルウェア攻撃。
• ネットワークが分割され、異なるネットワーク間でのデータのやり取りが、メディアやメールを利用して行われている「データを元に戻してほしかったら」• ユーザ単位でのデータの取り扱いの記録が行われていないなど「データを公開されたくなかったら」
IT資産の包括的な管理によって攻撃を防ぎ、影響を極小化すると二重で脅迫が行われる。
11

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

攻撃の成功 - IT統合管理ができていない組織
ランサムウェア攻撃は無差別に行われている
攻撃が成功しやすい組織の特徴••••

導入されているシステムや機器などが、複数のベンダーが関係し、管理が複雑になっている。
システムや機器ごとに異なるID管理やデータ管理が行われている。
ネットワークが分割されているつもりになっていて、データのやり取りは外部記憶媒体などを利用して行っている。
ユーザ単位でのデータの取り扱いの記録が行われていない。など

ITガバナンスが重要
情報資産の包括的な管理によって攻撃を防ぎ、影響を極小化する
12

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ITガバナンスの重要性- 事故報告書の読み方

地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター「情報セキュリティインシデント調査委員会報告書（PDF）」（14ページ）
https://www.gh.opho.jp/pdf/report_v01.pdf

13

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ITガバナンスの重要性- 事故報告書の読み方

地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター「情報セキュリティインシデント調査委員会報告書概要版（PDF）」（4ページ）
https://www.gh.opho.jp/pdf/reportgaiyo_v01.pdf

14

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

そもそもITガバナンスとは何か？
組織のITの現在及び将来の利用を指示し，管理するシステム。
組織を支援するためにITの利用を評価すること及び指示すること，並びに計画を遂行するためにこのIT利用をモニタすることに関係する。
これには組織におけるITの利用に関する戦略及び方針を含む。

（JISQ38500）
15

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ITガバナンス
すべてのIT資産の把握

監視・異常の検出適正状態に修正

ガバナンスとは、自組織（情報資産）を把握し、継続的な監視、改善が必要な時に対応できる体制であり、健全な経営が行われている状態を目指すもの。
内部統制はInternal Controlでガバナンスの一部だが、そのものではない。
ITガバナンスは、すべてのIT資産を把握し、それが求める状態になっているかどうかを監視（モニタリング）し、常に適切な状態を維持すること。
異常の検出をするには「平常が何か」を設定する必要がある。

16

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

監視・異常の検出（例）
組織人

• 契約

• 職員の満足度• 管理体制• 評価に対する不• ステークホル
ダー（サプライ満技術• マルウェアの感染• 各種製品による• 内部不正チェーン）連携

検知• データ活用17

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

適正状態に修正（例）ステークホルダーとの定期的なコミュニケーション
職員の職場（IT）環境の改善

ミスの事前防止（フロー改善や文書化等）
マルウェアなどの脅威検出時の対応
平時をきちんと把握していない、異常がわからない
18

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

特に直近の重要な活動
特定評価対応•自分たちの•影響度と発•受容、低減、情報資産の生可能性を移転、回避把握（基本確認•チェックリ

的には、院•チェックリストの対応

内システムストによるの全て）

確認

医療機関におけるサイバーセキュリティ対策チェックリストマニュアル ～医療機関・事業者向け～
https://www.mhlw.go.jp/content/10808000/001105752.pdf

19

医療機関におけるサイバーセキュリティ対策チェックリストマニュアル
https://www.mhlw.go.jp/content/10808000/001154657.xlsx
令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

2. 一般的なIT管理の在り方

20

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

課題 〉 一般的にどのようなシステム管理をしているのでしょうか

ITガバナンスの確立に向けて、医療界に限らず一般的なシステム管理はどのように行われているのでしょうか。

21

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ゼロトラストの論理コンポーネント
ディレクトリ管理
インベントリ管理
セグメントの「細」分割

リソース
（データ）

管理

（第1回システム・セキュリティ管理者資料より抜粋）*CDM(継続的診断および対策)システム：適切なパッチ適用済みOSを実行してるか、承認したソフトウェアコンポーネントの完全性、脆弱性があるかないかなど
NIST SP800-207「ゼロトラスト・アーキテクチャ」
https://www.pwc.com/jp/ja/knowledge/column/awareness-cyber-security/assets/pdf/zero-trust-architecture-jp.pdf

22

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

組織のIT管理を行うための仕組み【情報資産】

組織内のすべての資産を把握する（医療情報システムが最優先）
デバイス

ファイル・データ

人・アカウント

アプリ・サービス

すべての資産は誰が把握し、管理をするのが良いか
どのタイミングで管理するのが良いか

メディア

1年に1度の棚卸しではサイバー攻撃に対応できない
有形・無形の様々な資産

23

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

インベントリ管理と構成管理
インベントリ管理（すべてのIT資産の管理）• 組織が保有している資産の全てを把握すること• 資産のライフサイクルに応じた管理を実施し、必要に応じて廃棄した資産についてもその内容を管理する

構成管理• 資産の詳細とその状態を把握する• 資産ごとに必要な属性を定義し、同じ種別のデータであっても、個別に管理• 変更管理を適切に実施することで常に最新の情報となるようにする• アーカイブデータについても同様に構成管理の対象とする

24

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ドメイン – 組織におけるIT管理の単位

Aシステム
ドメイン

Z診療科
ドメイン

X研究所
ドメイン

IT管理を行う単位のこと。
• Active Directoryで言うと、登録されるアカウント (ユーザー、コンピューター、グループなど) やリソースを管理する単位のこと。
ドメイン管理システムを利用して、把握したい規模での管理を行う。
組織やシステム、部門など、異なる単位で管理することができる。

25

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ID管理 – 全ての資産に固有のIDを付与

ID管理サービス
デバイス

ファイル・データ

人・アカウントアプリ・サービス• すべての資産に固有のIDを付与• 資産が本物また適切であるかどうかを確認するための仕組みの構築

メディア

有形・無形の様々な資産

26

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ディレクトリサービス – 組織の構成を管理
ディレクトリサービス
レポートライン• 組織の構成（状態）を管理するためのITサービス• 人（ユーザアカウント）をベースにしながら、組織の構造や資産の関係性などを把握するために利用• デバイス、アプリケーション、データの関連性を明確にする

さまざまな属性の管理

ID
部署
デバイス

アプリ

27

データ

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

Active Directory(AD)とはWindows Serverの機能の一つで、管理するネットワーク上に存在する様々な資源やその利用者の情報や権限などを一元管理するディレクトリサービス
Windowsで稼働するサーバやクライアントなどのコンピュータ、プリンタなどの周辺機器、それらを使用する利用者の識別・認証情報や各資源へのアクセス権限などの情報を一元管理
組織の情報システム管理者が、ネットワーク上に散財するコンピュータや情報機器、それを利用する従業員の利用権限などを効率よく管理するために用いられる

28

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ADの推奨設定 – 事故報告書の読み方課題の確認• 短いパスワード• ロックアウト設定が無効• ドメインユーザが Builtin¥Administrators に所属• ユーザ アカウント制御: 管理者承認
モードでの管理者に対する昇格時のプロンプトの動作が 既定値
対応策の確認P17(防御戦略)以降に記載
グループポリシーの再設定
ベンダーとのコミュニケーション
対応済みであることを確認※詳細は本研修の5回目を目安に実施

コンピュータウイルス感染事案有識者会議調査報告書ー技術編ー（PDF）
https://www.handa-hospital.jp/topics/2022/0616/report_02.pdf

29

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

防御戦略
脆弱性対策
ネットワーク機器、ソフトウェア、IoT 機器の脆弱性の是正

バックアップ

整合性のあるオフライン、オフサイトのバックアップによる復旧

漏洩データを無効化するための暗号化

漏洩しても実質的な被害を招かないための措置

最小特権とアクセス権管理

限定的な管理者特権の付与と、知る必要性に基づくアクセス権限の付与

強化設定による多重防御（攻撃表面の最小化）悪用される脆弱な初期値の是正による、攻撃阻止、遅延のための措置
コンピュータウイルス感染事案有識者会議調査報告書ー技術編ー（PDF）「５防御戦略」より抜粋
https://www.handa-hospital.jp/topics/2022/0616/report_02.pdf

30

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

課題 〉 いろんな管理があることはわかりましたが…

いろんな管理があることはわかりました。特に気を付けるべきことは？

31

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

安全管理に関する法的な基準
不正競争防止法における安全管理義務違反の例• 共有IDによる営業機密管理は「誰がアクセスしたかを十分に説明できない」ことにより、安全管理が適切だとはいえないという判例が出た• 安全管理の基本は「いつ、どこで、だれが、なにをした」を明確にできること
レガシーなシステムにおける権限管理の不備• admin、rootなどの管理者アカウントが固定• 管理者アカウントが1つしか設定できない• アクセスの記録が十分に取得できていない
32

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

推奨される権限管理 - 事故報告書の読み方
課題の確認
ランサムウェアの攻撃手順の確認
権限昇格による管理者権限奪取
ファイルの操作対応策の確認
17ページに記載
推奨グループポリシーの適用ベンダーとのコミュニケーション
対応済みであることを確認

コンピュータウイルス感染事案有識者会議調査報告書ー技術編ー（PDF）（9ページ）
https://www.handa-hospital.jp/topics/2022/0616/report_02.pdf

33

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

推奨される権限管理 - 事故報告書の読み方
課題の確認•管理業務でAdministratorアカウン
トを利用•

ドメインユーザが Builtin¥Administrators に所属•

ユーザ アカウント制御: 管理者承認
モードでの管理者に対する昇格時のプロンプトの動作が 既定値

対応策の確認P17 (防御戦略)以降に記載
推奨グループポリシーの適用ベンダーとのコミュニケーション対応済みであることを確認※詳細は本研修の5回目を目安に実施

コンピュータウイルス感染事案有識者会議調査報告書ー技術編ー（PDF）（19ページ）
https://www.handa-hospital.jp/topics/2022/0616/report_02.pdf

34

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

基本対策の徹底 – 事故報告書の読み方

地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター「情報セキュリティインシデント調査委員会報告書（PDF）」（52ページ）
https://www.gh.opho.jp/pdf/report_v01.pdf

35

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

3. さいごに36

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

課題 〉 うちの病院も課題は多い…どうしたら？
課題が多いこともよくわかりました。
まずは何から行い、何を目指せばいいでしょうか？

37

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

特に直近の重要な活動（再掲）
特定評価

対応

•自分たちの•影響度と発•受容、低減、情報資産の生可能性を移転、回避把握（基本確認•チェックリ

的には、院•チェックリ

ストの対応

内システム

ストによるの全て）確認

医療機関におけるサイバーセキュリティ対策チェックリストマニュアル ～医療機関・事業者向け～
https://www.mhlw.go.jp/content/10808000/001105752.pdf

38

医療機関におけるサイバーセキュリティ対策チェックリストマニュアル
https://www.mhlw.go.jp/content/10808000/001154657.xlsx
令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

インシデント報告書を参照しよう

https://www.handa-hospital.jp/topics/2022/0616/index.html

https://www.gh.opho.jp/important/785.html

39

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

さいごにシステム管理やセキュリティの考え方を見直す

全ての資産を把握

資産の状態を把握

やりとりを把握インベントリ管理

構成管理

管理の連鎖

院内のデジタル化、オープン化の検討と実施
よりリアルタイムな対応や判断、そして改善が可能な体制へ40

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ありがとうございました。
次回は11月2日(木)、引き続き、管理や設定について具体的に深掘りしていきます。
※本日の講義でご紹介したリンク先は、アンケートに記載しております。
本研修ではリアルタイムでの質問はお受けしておりません。
ご質問のある方は、アンケートにご記入ください。
https://forms.gle/rxyGJ3M15UrZnkBD8
41

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業